Windmill — это платформа для разработчиков с открытым исходным кодом для внутреннего кода: API, фоновых заданий, рабочих процессов и пользовательских интерфейсов. Версии 1.634.6
и ниже позволяют пользователям, не являющимся администраторами, получать секреты клиента Slack OAuth, которые должны быть доступны только администраторам рабочей области. Конечная точка GET /api/w/{workspace}/workspaces/get_settings возвращает slack_oauth_client_secret любому аутентифицированному участнику рабочей области, независимо от его статуса администратора.
Ожидается, что пользователи, не являющиеся администраторами, увидят отредактированную версию настроек рабочей области, поскольку некоторые из них необходимы для корректной работы интерфейса даже для пользователей, не являющихся администраторами. Однако конфигурация Slack не должна быть видна лицам, не являющимся администраторами. Это устаревшая проблема, при которой параметр сохранялся как простое значение вместо использования косвенного указания $variable и никогда не добавлялся в логику редактирования.
Эта проблема исправлена в версии 1.635.0.
Показать оригинальное описание (EN)
Windmill is an open-source developer platform for internal code: APIs, background jobs, workflows and UIs. Versions 1.634.6 and below allow non-admin users to obtain Slack OAuth client secrets, which should only be accessible to workspace administrators. The GET /api/w/{workspace}/workspaces/get_settings endpoint returns the slack_oauth_client_secret to any authenticated workspace member, regardless of their admin status. It is expected behavior for non-admin users see a redacted version of workspace settings, as some of them are necessary for the frontend to behave correctly even for non-admins. However, the Slack configuration should not be visible to non-admins. This is a legacy issue where the setting was stored as a plain value instead of using $variable indirection, and it was never added to the redaction logic. This issue has been fixed in version 1.635.0.
Характеристики атаки
Последствия
Строка CVSS v3.1